Website-Datenschutz 2026: Dienste und Datenwege prüfen

Eine Datenschutzerklärung kann nur dann zum Auftritt passen, wenn bekannt ist, welche Daten tatsächlich verarbeitet werden. Dazu gehören nicht nur sichtbare Formulare. Auch Spam-Schutz, eingebettete Medien, Kalender und Messdienste können Daten übertragen. Beginne mit einer Liste der Funktionen und Zuständigkeiten; danach lassen sich Informationen und technische Einstellungen gezielt prüfen.

Eine aktuelle Dienste- und Datenliste erstellen

Notiere pro Funktion den Zweck, die verarbeiteten Angaben, Anbieter und Empfänger, Speicherung und Zugriffsberechtigungen. Prüfe, was vor einer Auswahl des Besuchers lädt und was erst nach einer Einwilligung oder Nutzung aktiviert wird. Ein Pluginname allein erklärt den tatsächlichen Datenweg nicht.

Bei personenbezogenen Daten sind unter anderem Zweckbindung, Datenminimierung und passende Aufbewahrung relevant. Die Europäische Kommission erläutert diese Grundsätze und die zugehörigen Informationspflichten. Die konkret nötigen Angaben hängen von deiner Verarbeitung ab. EU-Kommission zu den DSGVO-Grundsätzen.

reCAPTCHA: die aktuelle Anbieterrolle beachten

Google beschreibt für reCAPTCHA seit dem 2. April 2026 den Kunden als Verantwortlichen und Google als Auftragsverarbeiter für die betreffenden Kundendaten. Die FAQ verweist auf die Cloud-Vertragsbedingungen und den Zusatz zur Datenverarbeitung. Zugleich erklärt Google, dass die Änderung keine neue technische Implementierung oder allgemeine Vertragsumstellung beim Kunden erfordert. Google: reCAPTCHA-FAQ, Datenverarbeitung.

Prüfe deshalb die tatsächlich verwendete Fassung, geltenden Unterlagen und Hinweise gegenüber Besuchern. Die geänderte Rolle bedeutet nicht, dass jedes reCAPTCHA ohne weitere Datenschutzprüfung eingesetzt werden darf. Kläre auch, ob eine weniger eingriffsintensive Maßnahme den benötigten Spam-Schutz leisten kann.

Formulare und Werbung auseinanderhalten

Frage nur Daten ab, die du für das Anliegen brauchst, und erläutere die Verwendung am Formular. Die Bearbeitung einer konkreten Anfrage kann auf einer anderen Rechtsgrundlage beruhen als einer Werbeeinwilligung. Eine Newsletteranmeldung muss als eigener Zweck erkennbar und freiwillig sein. EU-Kommission zu Rechtsgrundlagen.

Eine zusätzliche elektronische Werbenachricht ist nicht allein deshalb zulässig, weil jemand ein PDF angefordert oder ein Formular ausgefüllt hat. Die Voraussetzungen für elektronische Werbung regelt zusätzlich § 7 UWG. Eine Anfrage darf unabhängig von einer Newsletter- oder Analyticsentscheidung bearbeitet werden. § 7 UWG.

Einwilligung und Widerruf technisch testen

§ 25 TDDDG unterscheidet einwilligungsbedürftiges Speichern beziehungsweise Zugreifen auf Informationen im Endgerät von eng definierten Ausnahmen. Daraus folgt keine pauschale Bannerpflicht für jede Website. Entscheidend sind die eingesetzten Funktionen. § 25 TDDDG.

Wenn ein Dienst Einwilligung benötigt, teste Annahme, Ablehnung und späteren Widerruf. Eine gespeicherte Auswahl allein beweist nicht, dass das laufende Tracking wirklich stoppt. Prüfe auch Seitenadressen und Ereignisparameter: Tokens, Namen oder freie Formularnachrichten gehören nicht unbesehen in eine Besuchsmessung.

Aufbewahrung und Zugriff im Betrieb klären

Verfolge eine Testanfrage bis zum Postfach oder der internen Bearbeitung. Wer sieht sie? Gibt es Kopien oder automatische Weiterleitungen? Wer bearbeitet eine Löschanfrage? Lege passende Fristen und Verantwortlichkeiten fest; gesetzliche Aufbewahrungspflichten und die Zwecke können unterschiedliche Anforderungen ergeben.

Technische Pflege und Rechtsprüfung verbinden

Updates, Berechtigungen, Backups und Funktionsprüfungen helfen beim sicheren Betrieb. Sie ersetzen weder die richtige Rechtsgrundlage noch passende Informationen und Verträge. Umgekehrt behebt ein Erklärungstext keinen technischen Datenabfluss. In einer Website-Übernahme prüfen wir technische Ausgangslage und Umfang; konkrete rechtliche Bewertungen gehören zu einer qualifizierten Einzelfallprüfung.